El phishing y el fraude facilitado por medios digitales están creciendo a un ritmo alarmante, impulsados por el uso que los ciberdelincuentes hacen de la IA.
La ciberseguridad debe desplazarse hacia etapas anteriores, adoptando un enfoque más sistémico que integre la seguridad en la infraestructura digital en lugar de depender de que los usuarios detecten las amenazas.
Tres líderes del Paladin Global Institute, Microsoft y el Institute for Security and Technology subrayan la necesidad de una acción coordinada.
A medida que la ciberdelincuencia evoluciona rápidamente, el phishing y las estafas impulsados por la inteligencia artificial están costando ahora a la economía mundial más de 1 billón de dólares al año – una cifra asombrosa que subraya la necesidad de una respuesta más sistémica y coordinada.
El Foro Económico Mundial, a través de su Asociación contra la Ciberdelincuencia, en colaboración con el Institute for Security and Technology (IST), impulsa el proyecto «Defensa sistémica», que explora cómo un enfoque sistémico y multipartito puede desplazar la responsabilidad hacia etapas anteriores y defenderse mejor del phishing y del fraude facilitado por medios digitales.
En la RSA Conference de mayo de 2025, líderes del Paladin Global Institute, Microsoft, IST y el Foro Económico Mundial se reunieron para debatir esta iniciativa.
En lugar de depender únicamente del comportamiento de los usuarios finales, examinaron cómo un enfoque sistémico puede favorecer un ciberespacio más seguro y fiable. Al desplazar los esfuerzos hacia etapas anteriores, esta iniciativa busca fortalecer de forma proactiva el entorno digital y mitigar las vulnerabilidades tecnológicas que permiten la explotación delictiva.
Para profundizar, preguntamos a los expertos participantes sobre el aumento del phishing y del fraude facilitado por medios digitales, y sobre qué puede hacerse para frenarlo. Esto es lo que compartieron:
¿Cómo pueden los gobiernos crear incentivos que animen a los actores de la infraestructura a adoptar la «seguridad por defecto» para los usuarios?
Kemba Walden, presidenta, Paladin Global Institute
Los gobiernos deben reconfigurar estratégicamente las fuerzas del mercado para situar la responsabilidad en materia de ciberseguridad en quienes están en mejores condiciones de reducir el riesgo, desplazando las consecuencias lejos de los más vulnerables, sin dejar de preservar la innovación y la competencia. Cuando considero el poder de compra anual de 760 000 millones de dólares del gobierno estadounidense, veo una oportunidad estratégica para reconfigurar la seguridad digital a gran escala.
No se trata de una estrategia abstracta, sino de una realidad práctica del mercado. Cuando las agencias federales exigen tecnologías seguras por defecto y diseñadas para ser seguras, generan efectos en cadena en todo el ecosistema digital. Cuando estas tecnologías se someten a pruebas exigentes en entornos críticos, desde la infraestructura en la nube hasta los sistemas de gestión de identidades, las funciones de seguridad dejan de ser complementos costosos y empiezan a convertirse en expectativas estándar.
Los gobiernos deben reconfigurar estratégicamente las fuerzas del mercado para situar la responsabilidad en materia de ciberseguridad en quienes están en mejores condiciones de reducir el riesgo, desplazando las consecuencias lejos de los más vulnerables.
Kemba Walden, presidenta, Paladin Global Institute
Necesitamos un enfoque pragmático para habilitar una infraestructura segura que incluya tanto la imposición de responsabilidades como la concesión de incentivos. Los gobiernos pueden imponer responsabilidad a los proveedores de software por productos de software inseguros; pero también pueden establecer subvenciones para incorporar la seguridad en las tecnologías críticas y aprovechar la contratación pública para mejorar la rendición de cuentas.
Este sistema debería recompensar a los proveedores que incorporen protecciones fundamentales, como sistemas de nombres de dominio seguros, autenticación multifactor resistente al phishing y detección del fraude en tiempo real. No se trata de innovaciones de vanguardia, sino de requisitos básicos para una sociedad digital que funcione.
Son fundamentales unos parámetros de referencia claros y impulsados por la industria para la «infraestructura segura» que sean tanto técnicamente sólidos como operativamente viables. El gobierno debe trabajar con la industria para garantizar que estos parámetros no solo sean técnicamente sólidos, sino también armonizados e integrados sin fisuras en el ecosistema digital.
¿Por qué han fracasado los esfuerzos actuales para frenar el phishing y el fraude facilitado por medios digitales, y qué papel pueden desempeñar las empresas tecnológicas para cambiar la situación?
Kelly Bissell, vicepresidente corporativo de Seguridad y Fraude, Microsoft
A pesar de los miles de millones invertidos en ciberseguridad, el phishing y el fraude facilitado por medios digitales no solo sobreviven, sino que prosperan. ¿Por qué? Porque la lucha contra ellos está fundamentalmente mal planteada. Hemos construido cortafuegos y filtros, pero hemos subestimado la vulnerabilidad más explotable de todas: la naturaleza humana.
Innovar más que los atacantes o ser superados: si los ciberdelincuentes usan IA, nosotros también debemos hacerlo, sin contemplaciones.
Kelly Bissell, vicepresidente corporativo de Seguridad y Fraude, Microsoft
Los ciberdelincuentes no necesitan hackear máquinas cuando pueden hackear mentes. Explotan la confianza, la urgencia y el miedo, y son terriblemente buenos en ello. Con correos electrónicos generados por IA, voces falsificadas con deepfake y sitios web suplantados, los ataques de phishing actuales son casi indistinguibles de los auténticos. A los usuarios se les dice que «estén alerta», pero las alertas constantes difuminan las amenazas reales hasta convertirlas en ruido de fondo.
Nuestras defensas son reactivas. Aplicamos parches después de las brechas, incluimos en listas negras después de las estafas y formamos a los usuarios después de que hayan hecho clic. Mientras tanto, los delincuentes son ágiles, anónimos y están envalentonados por la débil cooperación internacional y las leyes obsoletas.
La ciberdelincuencia es barata, global y muy rentable. Entonces, ¿qué podemos hacer al respecto? Estos son los 7 pasos que debemos dar como comunidad:
Dejar de culpar a los usuarios y empezar a formarlos como activos valiosos: Los usuarios no son el eslabón más débil, sino la defensa más infrautilizada. Deberíamos abandonar la formación genérica en favor de simulaciones inmersivas y específicas para cada función, con un realismo fiel a situaciones reales. Dejemos de castigar los errores y empecemos a construir una cultura en la que la vigilancia sea algo natural.
Si los hackers usan IA, nosotros también debemos hacerlo: Sin contemplaciones. Los ciberdelincuentes usan IA para elaborar phishing impecable e imitar a los humanos. ¿Por qué confiar en sistemas de detección obsoletos? Combatir fuego con fuego: desplegar una IA que aprenda, se adapte y actúe en tiempo real. Automatizar la contención de amenazas: los milisegundos importan.
La ciberdelincuencia es global; nuestra defensa también debe serlo: Para los hackers, las fronteras no significan nada. Entonces, ¿por qué seguimos combatiéndolos con políticas fragmentadas de ámbito nacional? Necesitamos un intercambio de inteligencia transfronterizo en tiempo real y marcos jurídicos unificados que hagan imposible que los ciberdelincuentes se escondan tras lagunas jurisdiccionales. Si no creamos alianzas globales, solo estaremos jugando a un juego del topo sin fin, y perdiendo.
No confiar en nadie, verificar todo: La era de la confianza implícita ha terminado. Cada dispositivo, usuario y solicitud de acceso debe verificarse de forma continua, no solo en el momento del registro. La confianza cero no es un término de moda; es un requisito básico. También debemos eliminar los sistemas heredados: si no se les pueden aplicar parches, representan una responsabilidad.
Hacer que la ciberdelincuencia no sea rentable: La ciberdelincuencia prospera porque es barata, fácil y lucrativa. Demos la vuelta a la situación. Utilicemos la analítica forense de cadenas de bloques para rastrear y congelar los fondos robados. Desmantelemos los kits de phishing, las botnets y los mercados de la dark web con la misma determinación con la que combatimos las amenazas físicas.
Empezar a luchar en equipo: La ciberseguridad no es un deporte individual, sino un esfuerzo de equipo. Si una empresa sufre un ataque, todo el ecosistema corre peligro. Basta de acaparar información: compártala en foros como la Global Anti-Scam Alliance. Necesitamos fuentes de amenazas en tiempo real, indicadores de compromiso compartidos y una defensa colaborativa. El silencio ayuda a los atacantes; compartir los detiene.
Innovar más que los atacantes o ser superados: Los ciberdelincuentes nunca dejan de adaptarse; nosotros tampoco debemos hacerlo. Impulse el cambio integrando la IA en su centro de operaciones de seguridad, ampliando el aprendizaje automático y la ciencia de datos para mejorar la detección y aplicando la seguridad desde el diseño. Invierta de forma decidida en IA e investigación y desarrollo de herramientas que se mantengan al ritmo de las amenazas.
¿Cuál es el cambio crítico que, a su juicio, debería producirse a nivel de infraestructura para prevenir el phishing y el fraude facilitado por medios digitales?
Steve Kelly, director de confianza (Chief Trust Officer), Institute for Security and Technology
Antes de convertirme en agente especial del FBI e involucrarme en investigaciones cibernéticas, fui ingeniero profesional colegiado en el sector del transporte.
Mientras reflexionaba sobre la inseguridad inherente de internet y la delincuencia desenfrenada que esta posibilita, me vino a la mente un paralelismo con mi anterior profesión: las carreteras se diseñan y construyen para ser intrínsecamente seguras, pero internet no.
Las características de diseño intuitivas, como la geometría, la señalización y el marcado viario, cumplen las expectativas de los conductores y ayudan a evitar sorpresas; los arcenes tolerantes a errores, libres de obstáculos peligrosos, mitigan las consecuencias del error; y el desarrollo urbano orientado a los peatones reduce la posibilidad de conflictos mortales entre vehículos a motor y peatones o ciclistas.
Entonces, ¿cómo podemos aplicar los principios básicos de la ingeniería al núcleo de la infraestructura de internet para que los usuarios estén seguros y los malos actores no puedan prosperar?
Hay demasiado en juego y demasiados inocentes son víctimas como para quedarse de brazos cruzados.
Steve Kelly, director de confianza (Chief Trust Officer), Institute for Security and Technology
En nuestro debate en panel, hablamos de la importancia de llevar la confianza y la seguridad al Sistema de Nombres de Dominio (DNS), de las oportunidades para aprovechar el ecosistema de pagos y de las formas en que las iniciativas de identidad, como las iniciativas de identidad digital patrocinadas por los gobiernos, podrían desempeñar un papel clave.
Hay demasiado en juego y demasiados inocentes son víctimas como para quedarse de brazos cruzados. Así que saquen su regla de cálculo y pónganse el casco; hace mucho que es hora de que la infraestructura central de internet sea segura desde el diseño.
En conclusión, la creciente escala e impacto del fraude facilitado por medios digitales y del phishing siguen siendo desafíos mundiales de primer orden. La Asociación contra la Ciberdelincuencia del Foro se compromete a impulsar soluciones sistémicas que desplacen la carga de los usuarios hacia defensas más coordinadas y situadas en fases anteriores, con el fin de proteger mejor a las personas en línea.
¿Cómo aborda el Foro los desafíos mundiales de ciberseguridad?
El Centro para la Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Gracias a la colaboración intersectorial y al intercambio de conocimientos, el Centro ayuda a los socios a fortalecer su ciberresiliencia y a abordar desafíos que requieren respuestas colectivas.
